Která vrstva profilu L2TP se skutečně rozbila

Postupujte dolů po vrstvách, ne napříč stránkou nastavení: Vyjednávání IPsec, potom řízení L2TP, potom ověřování PPP a nakonec přidělení adresy a DNS. Každá vrstva má vlastní podpis chyby a vlastní pravděpodobnou příčinu. Profil, který selže při ověřování uživatele, už prošel třemi kontrolami, ke kterým profil, jenž dřív vypršel, nikdy nedošel. Právě toto pořadí je třeba nejdřív určit.

Stejný název protokolu skrývá čtyři různé rozhovory.

Pojmenujte vrstvu dřív, než změníte nastavení

Selhání nastavení IPsec ukazuje na sdílené tajemství, algoritmy nebo identitu protistrany. Selhání řízení L2TP potom naznačuje samotnou tunelovou vrstvu, což je užší problém. Chyby ověřování PPP pojmenovávají účet nebo metodu ověřování. Selhání adresy nebo DNS po ověření znamená, že přenos fungoval a výměna konfigurace ne.

Zapište verzi klienta, verzi operačního systému a dokumentované nastavení operátora. Bez těchto tří je každá změna odhad, který může omylem opravit něco jiného.

Porovnejte profil se současným klientem

Uložený profil může nést sdílené tajemství, volbu ověřování nebo koncový bod, které současný klient už nepřijímá. Některé platformy podporu L2TP/IPsec zcela opustily nebo odstranily a aktualizovaný klient může opustit staré chování IKE bez jakékoli změny na serveru. Porovnejte uložené hodnoty se současnými dokumentovanými požadavky operátora, ne s tím, co fungovalo před rokem. Rozdíl mezi těmito dvěma dokumenty bývá místem, kde se odpověď nachází.

Uložené tajemství v mezipaměti nebo přejmenovaný účet obvykle nevyžadují víc než běžnou aktualizaci profilu a obojí stojí za kontrolu dřív, než cokoli předěláte. To jsou levné opravy a měly by být vyloučeny před jakoukoli architektonickou prací.

Staré volby se zpět nevracejí tím, že je zapnete

Vypnutí ověřování neopraví problém řetězce důvěry a zapnutí algoritmu jen proto, že ho zmiňuje vlákno na fóru, nic nedokazuje o tom, co server přijímá. Slabé nabídky IKE se z klientů obvykle odstraňují z dobrých důvodů a opětovné zapnutí jedné z nich vytvoří spojení horší než to, které se rozbilo. Slabší tunel není oprava, je to nový problém se stejným příznakem. Správná otázka zní, co operátor nyní podporuje.

Oprava zapnutím všeho změní mnohem víc než skutečnou závadu a nechá vás bez možnosti říct, co ji odstranilo.

Ukažte migraci jako projekt

Pokud nasazení už nepodporuje požadovaného klienta, naplánujte s operátorem náhradu, místo abyste zachovávali nedokumentovanou výjimku. Přeneste požadavek na přístup, identity, záznamy DNS a trasy, protože jedno nové handshake samo o sobě nevytvoří žádné z těchto oprávnění. To jsou části, na kterých funkční spojení tiše záviselo. Držte starý profil v bezpečí, dokud nebude obnova potvrzena, a pak zrušte zastaralé přihlašovací údaje tam, kde se skutečně spravují. Nechat je na místě je způsob, jak stará cesta zůstává použitelná dlouho poté, co si všichni myslí, že je zavřená.

Migrace je také okamžik, kdy zapsat, k čemu profil byl. Jinak další člověk zdědí funkční spojení bez jakéhokoli vysvětlení.

Zkontrolujte vrstvu, verzi klienta a současné požadavky operátora. Potom rozhodněte, zda jde o opravu, nebo o náhradu.